Sårbarhedsscanning eller penetrationstest: hvad kunden kan mene med teknisk test

Et kravbilag kan bruge ordet “teknisk test” eller “sikkerhedstest” uden at sige, hvilken slags. Det er ikke sjusk. De danske og europæiske tekster bag NIS2 nævner både sårbarhedsscanning og penetrationstest som eksempler og overlader valget til den omfattede enheds risikovurdering. Jeres opgave er derfor at finde ud af, hvad kunden vil have belyst, og derefter foreslå den type test, der kan belyse det. Svaret kan være en kombination, hvor hver type har sin opgave.

Svaret hviler på tre kilder: SAMSIK’s vejledning om foranstaltninger, der lister begge testtyper som eksempler; forordning (EU) 2024/2690, der behandler sikkerhedstest og sårbarhedsscanning i to forskellige punkter; og kundens egen begrundelse. Teksten er ikke juridisk rådgivning.

Hvor de to ord står i kilderne

NIS 2-lovens § 6, stk. 1, nr. 6, nævner hverken scanning eller penetrationstest. Bemærkningerne til lovforslaget gør, og SAMSIK gengiver dem: politikken for effektivitet skal også omfatte vurdering af behovet for tekniske test, fx sårbarhedsscanninger eller penetrationstest.

SAMSIK’s vejledning nævner scanningen to steder. I afsnit 5.b om håndtering af sårbarheder anbefales scanninger med regelmæssige, planlagte mellemrum og ved større ændringer eller sikkerhedshændelser. I afsnit 6.b står scanning og penetrationstest side om side på en liste over eksempler på tekniske test, sammen med blandt andet konfigurationsgennemgang og kodegennemgang. → SAMSIK’s vejledning om tekniske test

To forskellige punkter i forordningen

For de digitale udbydere, forordning 2024/2690 gælder for, er forskellen tydeligere. Bilagets punkt 6.10.2, litra b, handler om sårbarhedshåndtering og siger, at enheden med planlagte intervaller skal foretage sårbarhedsscanninger, hvor det er relevant, og dokumentere resultaterne. Punkt 6.5 handler om sikkerhedstest generelt og siger, at type, omfang og hyppighed fastlægges ud fra risikovurderingen.

Scanningen hører altså til den løbende drift, mens sikkerhedstesten er en vurdering, der planlægges efter risiko. Det ene udelukker ikke det andet. En kunde, der bruger forordningens sprog, kan have begge dele i tankerne og forvente dem i hver sin rytme. → Mellem to penetrationstest

Hvad de to typer kan svare på

Uden at gå i teknik kan forskellen beskrives ud fra de spørgsmål, typerne svarer på:

Sårbarhedsscanning · Findes der kendte svagheder i de systemer, der er med? Er de blevet flere eller færre siden sidst? Scanningen giver et bredt og gentageligt billede, men vurderer ikke, hvad en svaghed kan bruges til i netop jeres løsning.
Penetrationstest · Hvad kan en person med en bestemt adgang faktisk nå? Holder adskillelsen mellem kunder? Kan en svaghed kombineres med en anden? Testen er dybere og afhænger af testerens vurdering, men dækker et afgrænset område på et bestemt tidspunkt.

SAMSIK beskriver penetrationstest som simulerede angreb for at identificere og udnytte sårbarheder. Det er den del, der adskiller den fra en scanning: testen undersøger, om en svaghed kan bruges, og hvad den fører til. Den generelle forskel på testtyperne er beskrevet på penetrationtest.dk.

Sådan finder I ud af, hvad kunden mener

Spørg til formålet, før I vælger testtype. Tre spørgsmål kan give svaret:

Hvilken foranstaltning vil kunden have belyst? · kendte sårbarheder peger mod scanning; adskillelse og adgang peger mod penetrationstest.
Hvor ofte skal resultatet foreligge? · en løbende rytme passer til scanning, en vurdering ved ændringer til penetrationstest.
Hvad skal kunden bruge resultatet til? · et billede af udviklingen over tid eller en vurdering af en bestemt risiko.

Kundens risikovurdering af jeres leverance er det bedste grundlag for svaret. Hvis kunden ikke har en, kan jeres eget forslag hjælpe kunden i gang. Et kort notat, der kobler hver testtype til en bekymring hos kunden, kan være nok til at få kravet præciseret. → Kundens risikovurdering

Et tænkt eksempel

En leverandør af et system til lagerstyring hos en fødevareproducent får kravet “årlig teknisk test i henhold til NIS2”. Leverandøren spørger ind og får at vide, at kunden især er bekymret for to ting: at kendte svagheder i systemets komponenter står uløste hen, og at leverandørens fjernadgang kan misbruges til at nå kundens net.

Leverandøren foreslår to ting. En sårbarhedsscanning af de systemer, der er eksponeret mod kunden, med faste mellemrum og en kort status til kunden hver gang. Og en penetrationstest af fjernadgangen, når den er etableret, og igen ved væsentlige ændringer. Kunden får dermed et løbende billede og en dybere vurdering af den adgang, kunden er mest bekymret for.

Ordet “årlig” blev hængende i aftalen, men nu med et indhold: Scanningen sker oftere end én gang om året, og penetrationstesten af fjernadgangen er knyttet til ændringer frem for kalenderen. Begge dele er skrevet ind med en kort begrundelse, så kunden kan forklare valget videre, hvis kundens myndighed spørger.

Når scanning ikke er den forsigtige løsning

Det er let at tro, at en scanning altid er det mildeste valg. SAMSIK’s vejledning advarer om, at aktive scanninger af OT-miljøer kan give forstyrrelser eller nedetid, og nævner passiv overvågning og netværkstrafikanalyse som alternativer. Leverer I udstyr eller adgang til produktion eller forsyning, bør testtypen derfor vælges med særlig omtanke, og aktiv test af anlæg bør kun ske efter særskilt aftale. Det gælder både scanning og penetrationstest, og aftalen bør nævne, hvem hos kunden der kan standse testen. → Produktionsudstyr og OT

Det skal I lade være med

At sende en scanningsrapport som svar på et krav om penetrationstest · eller omvendt, uden at forklare valget.
At vælge testtype ud fra pris alene · vælg ud fra, hvad kunden vil vide.
At kalde en scanning for en penetrationstest · kunden og kundens myndighed kan læse forskellen.
At glemme den løbende scanning · kunden kan forvente begge dele.
At scanne driftsudstyr uden aftale · især i OT-miljøer.

Hvad kan og ikke kan konkluderes

Kilderne viser, at begge testtyper er legitime svar på et krav om teknisk test, og at valget hviler på risiko. De viser ikke, at den ene altid er bedre end den anden, eller at kunden skal have dem begge. En scanning uden fund siger ikke, at løsningen er sikker, og en penetrationstest uden fund siger ikke, at der ikke findes kendte svagheder uden for omfanget. Hvis omfanget er forkert valgt, hjælper ingen af dem. Det er derfor afgrænsningen og begrundelsen, kunden bør kunne læse først, og resultatet bagefter. → Når kravet er uklart